O navegador é atualmente uma das aplicações mais críticas na vida digital de qualquer pessoa ou organização. É através dele que acedemos ao correio eletrónico, a plataformas de produtividade, a ferramentas de inteligência artificial generativa e a dados empresariais sensíveis. Para muitas PME, o navegador tornou-se, na prática, o “sistema operativo invisível” onde quase todo o trabalho diário é realizado — e, paradoxalmente, um dos pontos menos protegidos.

Por essa mesma razão, o navegador é também um alvo privilegiado para os atacantes.

Em 2025, campanhas coordenadas comprometeram dezenas de milhões de dispositivos via extensões que funcionaram de forma legítima durante meses, ou até anos, antes de ativarem comportamentos maliciosos. Não se trata de ficção sobre cibersegurança, mas sim de factos documentados por empresas especializadas em análise de ameaças.

Para uma pequena ou média empresa, compreender este risco é o primeiro passo para o mitigar de forma realista e eficaz.

O vetor de ataque: extensões “sleeper”

As campanhas mais sofisticadas observadas em 2025 seguem um padrão recorrente: as extensões, que aparentam ser legítimas, são colocadas nas lojas oficiais (Chrome Web Store, Firefox Add-ons ou Microsoft Edge Add-ons), acumulam utilizadores e avaliações positivas e cumprem exatamente a função prometida. Mais tarde, são silenciosamente atualizadas para comportamentos maliciosos.

Um dos exemplos mais representativos é a campanha DarkSpectre, descoberta em dezembro de 2024 e analisada em pormenor ao longo de 2025. Durante cerca de sete anos, esta operação conseguiu instalar extensões em aproximadamente 8,8 milhões de utilizadores. Dentro deste ecossistema, destacam-se:

• ShadyPanda: 5,6 milhões de utilizadores afetados. As extensões em questão recolhiam dados completos do navegador, nomeadamente credenciais, cookies, histórico e atividade em tempo real. 2,2 milhões de utilizadores distribuídos por 18 extensões diferentes, focadas na recolha de informação sobre reuniões, comunicações e dados empresariais;
• GhostPoster: mais de um milhão de utilizadores no Firefox, frequentemente utilizada para injeção de código em websites e redirecionamento de tráfego.

Outras campanhas recentes seguem o mesmo padrão:

• Urban VPN Proxy: mais de 7 milhões de utilizadores (cerca de 6 milhões no Chrome e 1,3 milhões no Edge). Embora prometa privacidade, na prática, monitoriza e exfiltra conversas com ferramentas de IA, como o ChatGPT, o Claude ou o Gemini, que podem conter dados críticos para qualquer profissional ou empresa.
• RedDirection: 2,3 milhões de utilizadores. Assume o controlo da navegação e redireciona automaticamente para websites com publicidade ou conteúdo malicioso.

Por que razão isto é particularmente perigoso para as PME?

Para uma organização, especialmente uma PME, o risco concentra-se em três áreas críticas.

Primeiro, os dados conversacionais com IA: quantas vezes por dia um colaborador insere documentos, dados de clientes ou informação estratégica no ChatGPT, ou no Gemini para análise? Se uma extensão como o Urban VPN Proxy estiver ativa, esses pedidos, completos e contextualizados, podem ser capturados e enviados para servidores controlados por atores maliciosos.

Segundo, a inteligência corporativa: quando operações como o Zoom Stealer recolhem dados de reuniões, webinars, e-mails e interações internas, não estão apenas a roubar informação isolada. Estão a construir um perfil detalhado da empresa, incluindo a sua estratégia, clientes, parceiros, processos e fragilidades. Isto aproxima-se perigosamente da espionagem industrial.

Terceiro, as operações financeiras: o caso da extensão Trust Wallet, em 2024, ilustra bem este risco. Uma extensão legítima foi comprometida, tendo permitido o roubo direto de criptomoedas a partir de carteiras digitais. O impacto foi concreto: foram subtraídos cerca de 8,5 milhões de dólares.

Por que é difícil detetar?

É importante esclarecer um ponto fundamental: geralmente, não se trata de uma falha de utilizadores descuidados. Trata-se, em grande medida, de uma falha estrutural do ecossistema atual.

Primeiro, a extensão funciona. Quando um utilizador instala uma VPN, como o Urban VPN Proxy, obtém exatamente o que lhe foi prometido. Não há lentidão evidente, anúncios intrusivos ou comportamentos suspeitos. A atividade maliciosa é silenciosa.

Em segundo lugar, as atualizações são automáticas. Os navegadores atualizam as extensões sem intervenção do utilizador. Uma extensão legítima instalada há um ano pode transformar-se em spyware através de uma atualização silenciosa. Ninguém clicou num link suspeito. Ninguém recebeu alertas.

Em terceiro lugar, os processos de revisão das lojas são insuficientes. A Chrome Web Store e a Microsoft Edge Add-ons têm mecanismos de revisão inicial, mas estes não acompanham a dimensão nem a sofisticação de campanhas como a DarkSpectre. Muitas extensões só são removidas meses depois, quando são identificadas por investigadores independentes, o que é demasiado tarde para milhões de utilizadores.

Quarto, estamos perante operações organizadas. Não se trata de atores isolados. São grupos estruturados, financiados e com infraestruturas profissionais. O facto de a DarkSpectre ter operado durante sete anos é um indicador claro de maturidade operacional.

O Caso Específico: “Man-in-the-Prompt”

Existe um vetor de ataque particularmente relevante para as PME que utilizam inteligência artificial: o chamado ataque “Man-in-the-Prompt”.

O princípio é simples. Uma extensão não necessita de permissões especiais para ler o que é escrito numa conversa com o ChatGPT ou o Gemini. O acesso ao conteúdo da página é um requisito normal para muitas extensões legítimas, como corretores ortográficos, gestores de palavras-passe ou ferramentas de produtividade.

Uma extensão maliciosa pode, por conseguinte, ler cada instrução, cada resposta e cada contexto, sem deixar qualquer rasto visível. Se um colaborador solicitar à IA que analise uma proposta confidencial, dados financeiros ou uma decisão estratégica, essa informação pode estar a ser exfiltrada em tempo real.

Para muitas empresas, isto significa que os dados mais sensíveis já não são obtidos por phishing, mas sim fornecidos voluntariamente pelo próprio utilizador.

Este cenário não é teórico. Em 2025, foram detetadas extensões a operar exatamente desta forma.

Recomendações Práticas

A boa notícia é que mitigar este risco não exige ferramentas caras nem equipas dedicadas. Exige método, disciplina e algumas decisões claras.

1. Auditoria regular de extensões

Pelo menos uma vez por trimestre, cada colaborador deve listar as extensões instaladas. Questione cada uma: por que existe, quem a instalou e se ainda é necessária.

2. Eliminação do desnecessário

Cada extensão adicional é um vetor adicional. Uma extensão removida é um vetor eliminado. O excesso e a acumulação desnecessária aumentam diretamente o risco.

3. Revisão de permissões após atualizações

Após uma atualização, reveja as permissões solicitadas. Se uma extensão de aspeto visual ou produtividade passa a pedir acesso a “todos os dados dos sites visitados”, isso é um sinal de alerta.

4. Perfis de browser separados

Utilize perfis distintos para tarefas sensíveis. Um perfil dedicado a IA, dados críticos e operações financeiras, sem extensões instaladas, reduz significativamente o risco.

5. Política clara para empresas

Defina uma lista de extensões aprovadas pela área de IT e bloqueie a instalação de outras. Isto é possível através de Group Policy no Windows ou MDM em ambientes Apple e Android.

6. Limpeza regular de dados do navegador

Cache, cookies e histórico acumulam informação sensível. Reduzir esses dados reduz também a superfície de ataque.

7. Autenticação multifactor

Mesmo que uma credencial seja comprometida, a autenticação multifactor cria uma barreira adicional essencial.

O papel das grandes empresas

Este problema não afeta apenas os utilizadores ou as PME.

A Google e a Microsoft continuam sobretudo a basear-se em revisões iniciais, sem uma monitorização contínua e eficaz das atualizações. O comportamento de uma extensão pode mudar radicalmente sem qualquer intervenção do utilizador.

Além disso, os processos de remoção continuam a ser lentos. Quando uma extensão é identificada como maliciosa, pode permanecer disponível durante dias ou semanas, o que é tempo suficiente para afetar milhares ou milhões de novos utilizadores.

Numa situação em que uma extensão é capaz de comprometer milhões de dispositivos em poucas horas, os processos lentos deixam de ser uma limitação operacional para se tornarem um risco sistémico.

Como ajudamos as PME neste tipo de risco?

Os riscos associados às extensões dos navegadores surgem com frequência nas auditorias de segurança que realizamos em pequenas e médias empresas. Mediante uma análise prática à utilização real do navegador: extensões instaladas, permissões, perfis e políticas, ajudamos a reduzir a superfície de ataque sem comprometer a produtividade diária.

Conclusão

As extensões dos navegadores são úteis e, em muitos casos, indispensáveis. O problema não é utilizá-las, mas sim utilizá-las sem compreender o alcance real do acesso que lhes concedemos.

O panorama de 2025 mostra que campanhas bem organizadas conseguem afetar dezenas de milhões de utilizadores por meio de extensões que funcionam exatamente como prometido… até deixarem de o fazer.

Para uma PME, a resposta não é a paranoia. É disciplina: auditorias regulares, eliminação do que é desnecessário, revisão de permissões e políticas claras.

O navegador é a porta de entrada para a internet e, para muitas empresas, para o próprio negócio. É prudente saber quem mais está a entrar pela mesma porta.